Aggiornare una condivisione di risorse inAWS RAM

Puoi aggiornare una condivisione di risorse in qualsiasiAWS RAM momento nei seguenti modi:

• Puoi aggiungere principi, risorse o tag a una condivisione di risorse che hai creato.

• Per i tipi di risorse che supportano più autorizzazioniAWS gestite rispetto a quelle predefinite, puoi scegliere quale autorizzazione gestita applicare alle risorse di ciascun tipo.

• Quando un'autorizzazione gestita allegata alla condivisione di risorse ha una nuova versione predefinita, è possibile aggiornare l'autorizzazione gestita per utilizzare la nuova versione.

• È possibile revocare l'accesso alle risorse condivise rimuovendo i committenti o le risorse da una condivisione di risorse. Se revochi l'accesso, i dirigenti non hanno più accesso alle risorse condivise.

Nota

I committenti con cui condividi risorse possono lasciare la tua condivisione di risorse se la condivisione è vuota o contiene solo tipi di risorse che supportano l'abbandono di una condivisione di risorse. Se la condivisione di risorse contiene tipi di risorse che non supportano l'uscita, viene visualizzato un messaggio per informare i committenti che devono contattare il proprietario della condivisione. In questo caso, in qualità di proprietario della condivisione di risorse, devi rimuovere i principali dalla tua quota di risorse. Per un elenco dei tipi di risorse che non supportano questa azione, consultaPrerequisiti per abbandonare una condivisione di risorse.

Console

Aggiornare una condivisione di risorse

1. Vai alla pagina Condiviso da me: condivisioni di risorse nellaAWS RAM console.

2. Poiché le condivisioni diAWS RAM risorse esistono in modo specificoRegioni AWS, scegli quella appropriataRegione AWS dall'elenco a discesa nell'angolo superiore destro della console. Per visualizzare le condivisioni di risorse che contengono risorse globali, imposta su Stati Uniti orientali (Virginia settentrionale), (us-east-1).Regione AWS Per ulteriori informazioni sulla condivisione di risorse globali, consultaCondivisione delle risorse regionali rispetto alle risorse globali.

3. Seleziona la condivisione di risorse e quindi scegli Modifica.

4. Nel passaggio 1: specificare i dettagli relativi alla condivisione delle risorse, esaminare i dettagli relativi alla condivisione delle risorse e, se necessario, aggiornare quanto segue:

   1. (Facoltativo) Per modificare il nome della condivisione di risorse, modifica la modifica Nome.

   2. (Facoltativo) Per aggiungere una risorsa alla condivisione di risorse, in Risorse, scegli il tipo di risorsa e seleziona la casella di controllo accanto alla risorsa per aggiungerla alla condivisione di risorse. Le risorse globali vengono visualizzate solo se imposta la regione su Stati Uniti orientali (Virginia settentrionale), (us-east-1) inAWS Management Console.

   3. (Facoltativo) Per rimuovere una risorsa dalla condivisione di risorse, individua la risorsa in Risorse selezionate, quindi scegli la X accanto all'ID della risorsa.

   4. (Facoltativo) Per aggiungere un tag alla condivisione di risorse, in Tag immetti una chiave e un valore di tag nelle caselle di tag vuote. Per aggiungere più di un tag, una chiave e una coppia di valori, scegli Aggiungi nuovo tag. Puoi aggiungere fino a 50 tag.

   5. Per rimuovere un tag dalla condivisione di risorse, in Tag, individua il tag e scegli Rimuovi accanto ad esso.

5. Seleziona Successivo.

6. (Facoltativo) Nel passaggio 2: associa un'autorizzazione gestita a ciascun tipo di risorsa, puoi scegliere di associare un'autorizzazione gestita daAWS al tipo di risorsa, scegliere un'autorizzazione gestita dal cliente esistente oppure puoi creare la tua autorizzazione gestita dal cliente. Per ulteriori informazioni, consulta Tipi di autorizzazioni gestite.

   Puoi anche scegliere Crea autorizzazione gestita dal cliente per creare un'autorizzazione gestita dal cliente che soddisfi i requisiti del tuo caso d'uso di condivisione. Per ulteriori informazioni, consulta Creazione di un'autorizzazione gestita dal cliente. Dopo aver completato il processo, scegli , quindi puoi selezionare la nuova autorizzazione gestita dal cliente dall'elenco a discesa Autorizzazioni gestite.

   Per visualizzare le azioni consentite dall'autorizzazione gestita, espandi Visualizza il modello di policy per questa autorizzazione gestita.

7. Se la versione dell'autorizzazione gestita attualmente assegnata alla condivisione di risorse non è la versione predefinita corrente, puoi eseguire l'aggiornamento alla versione predefinita scegliendo Aggiorna alla versione predefinita.

   Nota

   Fino a quando non si salvano le modifiche alla condivisione delle risorse dopo il passaggio finale, è possibile annullare l'aggiornamento della versione scegliendo Torna alla versione precedente. Tuttavia, per le autorizzazioniAWS gestite, dopo aver salvato la condivisione di risorse, la modifica è definitiva e non è più possibile tornare alla versione precedente.

8. Seleziona Successivo.

9. Nel passaggio 3: scegli i soggetti a cui è consentito l'accesso, esamina i presidi selezionati e, se necessario, aggiorna uno dei seguenti:

   1. (Facoltativo) Per modificare se la condivisione è abilitata con i responsabili interni o esterni all'organizzazione, scegli una delle seguenti opzioni:

      • Per condividere risorse conAccount AWS o singoli ruoli o utenti IAM esterni all'organizzazione, scegli Consenti la condivisione con responsabili esterni.

      • Per limitare la condivisione delle risorse ai soli responsabili dell'organizzazione inAWS Organizations, scegli Consenti la condivisione solo con i responsabili dell'organizzazione.

   2. Per i dirigenti, esegui queste operazioni:

      • (Facoltativo) Per aggiungere un'organizzazione, un'unità organizzativa (OU) o un membroAccount AWS all'interno dell'organizzazione, attiva Visualizza struttura organizzativa per visualizzare una vista ad albero dell'organizzazione. Seleziona quindi la casella di controllo accanto a ciascun committente da aggiungere.

        Importante

        Quando si condivide con un'organizzazione o un'unità organizzativa e tale ambito include l'account proprietario della quota di risorse, tutti i responsabili dell'account di condivisione ottengono automaticamente l'accesso alle risorse della condivisione. L'accesso concesso è definito dalle autorizzazioni gestite associate alla condivisione. Questo perché viene utilizzata la politica basata sulle risorseAWS RAM allegata a ciascuna risorsa della condivisione"Principal": "*". Per ulteriori informazioni, consulta Implicazioni dell'uso"Principal": "*"in politica basata sulle risorse.

        I titolari degli altri account di consumo non hanno accesso immediato alle risorse delle azioni. Gli amministratori degli altri account devono prima allegare politiche di autorizzazione basate sull'identità ai responsabili appropriati. Tali politiche devono garantireAllow l'accesso agli ARN delle singole risorse nella quota di risorse. Le autorizzazioni in tali politiche non possono superare quelle specificate nell'autorizzazione gestita associata alla condivisione di risorse.

        Nota

        L'opzione Visualizza struttura organizzativa viene visualizzata solo se la condivisione conAWS Organizations è abilitata e l'utente ha effettuato l'accesso come amministratore nell'account di gestione dell'organizzazione.

        Non puoi utilizzare questo metodo per specificare un ruolo o un utente IAMAccount AWS esterno all'organizzazione. È invece necessario aggiungere questi responsabili inserendo i relativi identificatori, che vengono visualizzati nella casella di testo sotto l'opzione Visualizza struttura organizzativa. Vedi il bullet.

      • (Facoltativo) Per aggiungere un committente tramite il relativo identificatore, scegli il tipo di principale dall'elenco a discesa, quindi inserisci l'ID o l'ARN per il committente. Infine, scegli Aggiungi.

        Se si seleziona una personaAccount AWS, solo quell'account può accedere alla condivisione di risorse. Puoi scegliere una delle seguenti opzioni.

        • AltroAccount AWS (diverso dal proprietario della risorsa): rende la risorsa disponibile per l'altro account. L'amministratore di quell'account deve completare il processo concedendo l'accesso alla risorsa condivisa utilizzando politiche di autorizzazione basate sull'identità a singoli ruoli e utenti. Tali autorizzazioni non possono superare quelle definite nelle autorizzazioni gestite allegate alla condivisione di risorse.

        • QuestoAccount AWS (proprietario della risorsa): tutti i ruoli e gli utenti dell'account proprietario della risorsa ricevono automaticamente l'accesso definito dalle autorizzazioni gestite allegate alla condivisione di risorse.

      • L'aggiunta viene immediatamente visualizzata nell'elenco Principali selezionati.

        Puoi quindi aggiungere altri account, unità organizzative o la tua organizzazione ripetendo questo passaggio.

      • (Facoltativo) Per rimuovere un committente, individualo in Responsabili selezionati, seleziona la relativa casella di controllo e quindi scegli Deseleziona.

10. Seleziona Successivo.

11. Nel passaggio 4: verifica e aggiorna, esamina i dettagli di configurazione per la condivisione delle risorse.

12. Per modificare la configurazione di qualsiasi passaggio, scegli il link corrispondente al passaggio a cui desideri tornare, quindi apporta le modifiche necessarie.

    Se alcune autorizzazioni gestite utilizzano ancora versioni diverse da quella predefinita, hai un'altra opportunità per risolvere il problema scegliendo Aggiorna alla versione predefinita.

13. Scegli Aggiornare la condivisione di risorse una volta completate le modifiche.

AWS CLI

Aggiornare una condivisione di risorse

Per modificare una condivisione di risorse, è possibile utilizzareAWS CLI i comandi riportati di seguito:

• Per rinominare una condivisione di risorse o per modificare se sono consentiti i committenti esterni, utilizzate il comando update-resource-share. L'esempio seguente rinomina la condivisione di risorse specificata e la imposta in modo da consentire solo i responsabili della relativa organizzazione. È necessario utilizzare l'endpoint del servizio perRegione AWS ciò che contiene la condivisione di risorse.

  $ aws ram update-resource-share \
      --region us-east-1 \
      --resource-share-arn arn:aws:ram:us-east-1:123456789012:resource-share/7ab63972-b505-7e2a-420d-6f5d3EXAMPLE \
      --name "my-renamed-resource-share" \
      --no-allow-external-principals
  {
      "resourceShare": {
          "resourceShareArn": "arn:aws:ram:us-east-1:123456789012:resource-share/7ab63972-b505-7e2a-420d-6f5d3EXAMPLE",
          "name": "my-renamed-resource-share",
          "owningAccountId": "123456789012",
          "allowExternalPrincipals": false,
          "status": "ACTIVE",
          "creationTime": 1565295733.282,
          "lastUpdatedTime": 1565303080.023
      }
  }

• Per aggiungere una risorsa a una condivisione di risorse, utilizzare il comando associate-resource-share. L'esempio seguente aggiunge una sottorete alla condivisione di risorse specificata.

  $ aws ram associate-resource-share \
      --region us-east-1 \
      --resource-arns arn:aws:ec2:us-east-1:123456789012:subnet/subnet-0250c25a1f4e15235 \
      --resource-share-arn arn:aws:ram:us-east-1:123456789012:resource-share/7ab63972-b505-7e2a-420d-6f5d3EXAMPLE
  {
      "resourceShareAssociations": [
          "resourceShareArn": "arn:aws:ram:us-east-1:123456789012:resource-share/7ab63972-b505-7e2a-420d-6f5d3EXAMPLE",
          "associatedEntity": "arn:aws:ec2:us-east-1:123456789012:subnet/subnet-0250c25a1f4e15235",
          "associationType": "RESOURCE",
          "status": "ASSOCIATING",
          "external": false
      ]
  }

• Per aggiungere o sostituire un'autorizzazione gestita per un tipo di risorsa in una condivisione di risorse, usa i comandi list-permissionse associate-resource-share-permission. È possibile assegnare una sola autorizzazione gestita per tipo di risorsa in una condivisione di risorse. Se si tenta di aggiungere un'autorizzazione gestita a un tipo di risorsa che dispone già di un'autorizzazione gestita, è necessario includere l'--replaceopzione o il comando fallisce e viene generato un errore.

  Il seguente comando di esempio elenca gli ARN per le autorizzazioni gestite disponibili per una sottorete Amazon Elastic Compute Cloud (Amazon EC2) e quindi utilizza uno di questi ARN per sostituire l'autorizzazioneAWS gestita attualmente assegnata per quel tipo di risorsa nella condivisione di risorse specificata.

  $ aws ram list-permissions \
      --resource-type ec2:Subnet
  {
      "permissions": [
          {
              "arn": "arn:aws:ram::aws:permission/AWSRAMDefaultPermissionSubnet",
              "version": "1",
              "defaultVersion": true,
              "name": "AWSRAMDefaultPermissionSubnet",
              "resourceType": "ec2:Subnet",
              "creationTime": "2020-02-27T11:38:26.727000-08:00",
              "lastUpdatedTime": "2020-02-27T11:38:26.727000-08:00"
          }
      ]
  }
  $ aws ram associate-resource-share-permission \
      --region us-east-1 \
      --resource-share-arn arn:aws:ram:us-east-1:123456789012:resource-share/f1d72a60-da19-4765-b4f9-e27b658b15b8 \
      --permission-arn arn:aws:ram::aws:permission/AWSRAMDefaultPermissionSubnet
  {
      "returnValue": true
  }

• Per rimuovere una risorsa da una condivisione di risorse, utilizzare il comando disassociate-resource-share. L'esempio seguente rimuove la sottorete Amazon EC2 con l'ARN specificato dalla condivisione di risorse specificata.

  $ aws ram disassociate-resource-share \
      --region us-east-1 \
      --resource-arns arn:aws:ec2:us-east-1:123456789012:subnet/subnet-0250c25a1f4e15235 \
      --resource-share-arn arn:aws:ram:us-east-1:123456789012:resource-share/7ab63972-b505-7e2a-420d-6f5d3EXAMPLE
  {
      "resourceShareAssociations": [
          "resourceShareArn": "arn:aws:ram:us-east-1:123456789012:resource-share/7ab63972-b505-7e2a-420d-6f5d3EXAMPLE",
          "associatedEntity": "arn:aws:ec2:us-east-1:ubnet/subnet-0250c25a1f4e15235",
          "associationType": "RESOURCE",
          "status": "DISASSOCIATING",
          "external": false
      ]
  }

• Per modificare i tag allegati a una condivisione di risorse, usa i comandi tag-resourcee untag-resource. Nell'esempio seguente viene aggiunto il tagproject=lima alla condivisione di risorse specificata.

  $ aws ram tag-resource \
      --region us-east-1 \
      --resource-share-arn arn:aws:ram:us-east-1:123456789012:resource-share/f1d72a60-da19-4765-b4f9-e27b658b15b8 \
      --tags key=project,value=lima

  L'esempio seguente rimuove il tag con una chiave diproject dalla condivisione di risorse specificata.

  $ aws ram untag-resource \
      --region us-east-1 \
      --resource-share-arn arn:aws:ram:us-east-1:123456789012:resource-share/f1d72a60-da19-4765-b4f9-e27b658b15b8 \
      --tag-keys=project

  I comandi di tag non producono alcun output se hanno esito positivo.